Kurzdefinition: Das KRITIS-Dachgesetz regelt die physische Resilienz kritischer Anlagen — als Gegenstück zur IT-Sicherheit nach dem BSIG. Es setzt die europäische CER-Richtlinie um und verpflichtet Betreiber kritischer Anlagen zu Resilienzmaßnahmen und einem Resilienzplan. [N-KRITISDachG-13]
Der Normwortlaut
§ 13 Abs. 1 des KRITIS-Dachgesetzes verpflichtet den Betreiber kritischer Anlagen, Maßnahmen zur Gewährleistung seiner Resilienz zu treffen, um „das Auftreten von Vorfällen zu verhindern“, „einen angemessenen physischen Schutz von Liegenschaften und kritischen Anlagen zu gewährleisten“, auf Vorfälle zu reagieren und die zügige Wiederherstellung der kritischen Dienstleistung zu gewährleisten. [N-KRITISDachG-13]
Was regelt das KRITIS-Dachgesetz?
Physische Resilienz. Während das BSIG die IT-Sicherheit regelt, adressiert das KRITIS-Dachgesetz den Schutz kritischer Anlagen vor physischen Gefahren — von Naturereignissen über Unfälle bis zu Sabotage. [N-KRITISDachG-13]
Wen betrifft es?
Betreiber kritischer Anlagen. Wer eine kritische Anlage im Sinne des Gesetzes betreibt, unterliegt den Resilienzpflichten. [N-KRITISDachG-13]
Was ist der Resilienzplan?
Die verbindliche Dokumentation. Der Betreiber muss die Maßnahmen in einem Resilienzplan darstellen, anwenden und bei Bedarf aktualisieren. [N-KRITISDachG-13]
Wie verhält es sich zum BSIG?
Sie ergänzen sich. Das BSIG deckt die IT-Sicherheit ab, das KRITIS-Dachgesetz die physische Resilienz. Ein Betreiber kann beiden Regimen unterliegen. [N-KRITISDachG-13]
Welche europäische Grundlage hat es?
Die CER-Richtlinie. Das KRITIS-Dachgesetz setzt die Richtlinie über die Resilienz kritischer Einrichtungen (CER) in deutsches Recht um. [N-KRITISDachG-13]
Häufige Fehlannahmen
- „Das KRITIS-Dachgesetz regelt die IT-Sicherheit.“ Nein. Das tut das BSIG; hier geht es um physische Resilienz. [N-KRITISDachG-13]
- „Ein Resilienzplan ist nicht nötig.“ Doch. Die Maßnahmen sind in einem Resilienzplan darzustellen. [N-KRITISDachG-13]
- „Physischer Schutz ist nicht gefordert.“ Doch. Er ist ein ausdrückliches Ziel. [N-KRITISDachG-13]
- „BSIG und KRITIS-Dachgesetz schließen sich aus.“ Nein. Ein Betreiber kann beiden unterliegen. [N-KRITISDachG-13]
- „Das Gesetz hat keine EU-Grundlage.“ Doch. Es setzt die CER-Richtlinie um. [N-KRITISDachG-13]
Was die Geschäftsleitung tun sollte
- Betroffenheit klären. Prüfen, ob eine kritische Anlage betrieben wird.
- Risiken analysieren. Eine Risikoanalyse als Grundlage erstellen.
- Resilienzplan aufsetzen. Die Schutzziele in Maßnahmen abbilden.
- Aktuell halten. Den Plan fortschreiben.
Für die Geschäftsleitung
Das KRITIS-Dachgesetz ergänzt die IT-Sicherheit um die physische Dimension. Wer kritische Anlagen betreibt, muss sie auch gegen Naturereignisse, Unfälle und Sabotage härten — mit einem Resilienzplan als Pflicht und Steuerungsinstrument.
Quellen
- [N-KRITISDachG-13] § 13 des KRITIS-Dachgesetzes (Resilienzpflichten; Resilienzplan). Amtlich: https://www.gesetze-im-internet.de/kritisdachg/__13.html
